En NIS2-audit kan ikke bevise, at I overholder loven. Det er myndigheden, der vurderer efterlevelsen, og der findes ingen dansk ordning, der gør en virksomhed NIS2-certificeret.
Det lyder som en begrænsning, og det er det. Men en rapport, der kender sine grænser, er netop den, ledelsen og tilsynet kan bruge. Det kræver, at forventningerne er afstemt, før auditten begynder.
Hvem der afgør efterlevelsen
Allerede på første side af foranstaltningsvejledningen slår Styrelsen for Samfundssikkerhed fast, at det i alle tilfælde er den relevante sektoransvarlige myndighed, som afgør, om enheden opfylder sine forpligtelser efter NIS 2-loven. Sektoransvarlig myndighed er vejledningernes ord for lovens kompetente myndighed. Vejledningen om hændelsesunderretning siger det samme med andre ord: det er altid op til tilsynsmyndigheden at vurdere, om implementeringen overholder reglerne.
En auditor kan altså konkludere, at auditor ikke fandt mangler ved det undersøgte. Auditor kan ikke konkludere, at virksomheden er i overensstemmelse med loven. Den formulering tilhører myndigheden.
Hvorfor “NIS2 compliant” er et forkert løfte
Ordene “NIS2 compliant” og “NIS2-godkendt” bruges i markedsføring. Der findes ingen NIS2-certificering af virksomheder efter dansk ret, så ordene har intet at henvise til.
Loven har i § 8 en hjemmel til, at ministeren kan kræve, at bestemte IKT-produkter, -tjenester og -processer er certificeret efter en europæisk ordning. Det handler om produkter og tjenester, ikke om virksomheden som helhed, og der er i denne gennemgang ikke fundet regler udstedt efter bestemmelsen. Kommissionen har i januar 2026 foreslået et certifikat for cybersikkerhedsniveau. Hvad forslaget går ud på, står i forslaget fra januar 2026.
Lover en udbyder et NIS2-certifikat eller en godkendelse, så spørg, hvilken regel det bygger på. Svaret afslører, hvad I faktisk får.
En standard er heller ikke et bevis
Også standarder har deres grænse. Foranstaltningsvejledningen kalder en standard for en hjælp og siger samtidig, at den ikke garanterer, at kravene er mødt. ENISA skriver om sine egne eksempler på bevis, at hel eller delvis gennemførelse af dem ikke betyder, at kravet er opfyldt.
Et ISO 27001-certifikat, en revisorerklæring eller en fuld bevismappe efter ENISA’s lister er derfor gode input til auditten. Ingen af dem afgør spørgsmålet alene. Se ISO 27001-certifikatet i NIS2-auditten.
De tre grænser, enhver audit har
Udover hjemmelsspørgsmålet har auditten tre grænser, der følger af metoden. De gælder enhver audit, uanset kriterierne.
Den første er tid. En audit udtaler sig om et tidspunkt eller en afgrænset periode. Det, der ændrer sig dagen efter, er ikke dækket. Forskellen på de to former er beskrevet i øjebliksbillede eller periode.
Den anden er stikprøver. Auditor kan ikke se alt. Fem fratrædelser ud af halvtreds siger noget om praksis, men de garanterer ikke for de femogfyrre andre. Revisionsstandarden for stikprøver kalder det stikprøverisiko. Det er risikoen for, at konklusionen på stikprøven bliver en anden, end hvis hele populationen var undersøgt. Den alvorlige udgave er, at kontrollerne ser mere effektive ud, end de er. Standarden er skrevet til regnskabsrevision og bruges her som beskrivelse af metode. Hvordan stikprøverne vælges, står i stikprøver.
Den tredje er omfanget. Det, der ikke er med i opdraget, er ikke undersøgt. Står leverandørens drift uden for, eller er de tekniske kontroller lavet på et udvalg af systemer, så siger rapporten intet om resten. Den tekniske gennemgang af de enkelte kontrolpunkter er sit eget emne.
Det, auditor ikke fik at se
En fjerde grænse opstår undervejs. NIST beskriver, at en kontrol, der ikke vurderes som tilfredsstillende, også kan dække over, at vurdereren ikke kunne få tilstrækkelige oplysninger. Standarderne for intern revision kalder manglende adgang til personer, lokaler eller data for en begrænsning i omfanget, og den skal stå i rapporten. Også en anmodning om at udelade et område eller skære i tiden kan virke som en sådan begrænsning.
For ledelsen er forskellen vigtig. Et område uden fund kan være i orden, eller auditor kan have manglet adgang. Spørg derfor til hvert område, om beviset blev set, og af hvem.
Sådan bør rapporten formulere sig
En god NIS2-auditrapport siger, hvad der er undersøgt, hvordan, hvornår og med hvilket bevis. Den skelner mellem fund mod krav og observationer mod anbefalinger. Og den skriver konklusionen som det, auditor fandt, og ikke som en dom over lovligheden. Er en foranstaltning kun delvist gennemført, siger rapporten, i hvilken grad. Det svarer til det, styrelsen i sin FAQ til kommunetilsynet beder om ved delvise svar.
Står der “virksomheden er NIS2 compliant” i en rapport, er det et advarselstegn. Står der “ved gennemgangen af de udvalgte områder blev der ikke fundet afvigelser fra de aftalte kriterier”, kan ledelsen bruge det.
Hvad det kræver, og hvad det koster at lade være
At afstemme forventningerne kræver en samtale med ledelsesorganet, før auditten bestilles, om hvad rapporten kan bruges til. Opdraget bør skrive grænserne ind: tidspunkt, stikprøvernes omfang og det, der er udeladt.
Uden den afstemning læser ledelsen rapporten som en godkendelse. Når tilsynet senere finder noget, som auditten ikke så, eller noget der er ændret siden, står ledelsen med et papir, den troede var en sikkerhed, og et ansvar efter § 7, den troede var løftet.
Det skal I lade være med
- At købe et “NIS2-certifikat” · der findes ingen dansk ordning for virksomheder.
- At skrive “compliant” i rapporten til bestyrelsen · efterlevelsen vurderes af myndigheden.
- At læse stikprøver som fuld dækning · de viser praksis i det udvalgte.
Det skal auditten kunne vise
- ☐ Hvad der er undersøgt, og hvad der står uden for.
- ☐ Tidspunktet eller perioden, konklusionen gælder for.
- ☐ Stikprøvernes størrelse og hvordan de blev valgt.
- ☐ En konklusion formuleret som fund mod kriterier.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Hændelsesunderretning, 1. udgave juni 2025, læst 12. november 2026.
- ENISA, Technical implementation guidance on cybersecurity risk management measures, version 1.0, juni 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, FAQ til NIS 2-tilsynet med kommunerne, læst 12. november 2026.
- NIST SP 800-53A Rev. 5, kapitel 3, læst 12. november 2026.
- The IIA, Global Internal Audit Standards, januar 2024, standard 13.3, læst 12. november 2026.
- IAASA, ISA (Ireland) 530, Audit Sampling, punkt 5, læst 12. november 2026.
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed om et eksempel på en konklusion, før I bestiller, og se efter, om den lover mere end et fund.
Læs også: Hvad en sikkerhedsaudit ikke kan · Auditrapporten som dokumentation for ledelsens tilsyn
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
